---
# System prepended metadata

title: Катенин Владимир - Windows Basic. Занятие 4. Инфраструктурные сервисы в домене

---

# Катенин Владимир - Windows Basic. Занятие 4. Инфраструктурные сервисы в домене
[toc]
## Практическая работа №4.1 DNS
### Часть 1. DNS
Задача - настроить перенаправление запросов DNS, не относящихся к зоне pt.local, на внешний DNS сервер. В дополнение - сконфигурировать зону обратного просмотра.

Предварительно проверено, что на микротике настроено перенаправление запросов.

1.1 Зайдём в оснастку DNS

![](https://imgur.com/y8CiZaC.jpg)

---
1.2 Просмотрим текущие DNS записи

![](https://imgur.com/95BkUZP.jpg)

---
1.3 Настроим форвард. Перейдём в настройки сервера DNS

![](https://imgur.com/QAMtqfG.jpg)

---
1.4 Откроем вкладку "forwarders"

![](https://imgur.com/5G7r5KY.jpg)

---
1.5 Зайдём в пункт "edit"

![](https://imgur.com/KAcqFrZ.jpg)

---
1.6 Введём адрес mikrotik. Именно он будет перенаправлять DNS запросы на внешние сервера. Видим, что настройка прошла корректно

![](https://imgur.com/lkXqGqm.jpg)

---
1.7 Закроем окно и применим настройки, после чего закроем окно свойств DNS

![](https://imgur.com/yAmv0Wm.jpg)

---
1.8 Настроим зону обратного просмотра. Нажмём ЛКМ на "reverse lookup zone", а после нажмём на неё ПКМ

![](https://imgur.com/zKNKznM.jpg)

---
1.9 Нажмём "new zone". Откроется меню создания зоны

![](https://imgur.com/uzjwUAl.jpg)

---
1.10 Оставляем пункт "primary zone"

![](https://imgur.com/OQCLqxB.jpg)

---
1.11 Аналогично оставляем по умолчанию параметры репликации

![](https://imgur.com/ewBU8db.jpg)

---
1.12 Настроим IPv4 зону

![](https://imgur.com/IJNd6NZ.jpg)

---
1.13 Введём идентификатор зоны без последнего ip октета. Это наша сеть, для которой будет создана зона обратного просмотра

![](https://imgur.com/HfPe33I.jpg)

---
1.14 Оставим пункт по умолчанию для динамического обновления зоны

![](https://imgur.com/zDcQR6s.jpg)

---
1.15 Сверимся с итоговыми настройками и завершим конфигурацию

![](https://imgur.com/KuBIn4L.jpg)

---
1.16 Увидим созданную обратную зону

![](https://imgur.com/CSWvJP5.jpg)

---

## Практическая работа №4.2,3 DHCP
### Часть 2. DHCP

2.1 Зайдём в оснастку DHCP

![](https://imgur.com/hPdDrIk.jpg)

---
2.2 Развернём меню DHCP и выделим IPv4

![](https://imgur.com/kgjcEM8.jpg)

---
2.3 Нажмём на IPv4 ПКМ и выберем "new scope"

![](https://imgur.com/J0VoFl8.jpg)

---
2.4 Приступим к созданию области DHCP

![](https://imgur.com/rE3nbgK.jpg)

---
2.5 Введём имя области, например, pool1

![](https://imgur.com/2gbyZW2.jpg)

---
2.6 Укажем диапазон выдаваемых адресов

![](https://imgur.com/aDAMbny.jpg)

---
2.7 Не будем указывать исключения из диапазона

![](https://imgur.com/ajBj9k4.jpg)

---
2.8 Оставим время аренды по умолчанию (8 дней)

![](https://imgur.com/lVXeYZz.jpg)

---
2.9 Сконфигурируем область сейчас

![](https://imgur.com/8Mo5Yxl.jpg)

---
2.10 Введём адрес роутера и нажмём "add"

![](https://imgur.com/ERWoen0.jpg)

---
2.11 Введём адрес резервного контроллера домена, он же будет резервным DNS. Нажмём "add"

![](https://imgur.com/sILe2E3.jpg)

---
2.12 WINS сервера не указываем, идем дальше

![](https://imgur.com/lPSE0DC.jpg)

---
2.13 Активируем область сейчас

![](https://imgur.com/S4HhAJ6.jpg)

---
2.14 Завершаем работу визарда

![](https://imgur.com/PV38qvl.jpg)

---
2.15 Новая область появилась в меню, можно просмотреть её параметры

![](https://imgur.com/9edBTvt.jpg)

---
2.16 Настроим Win10 на автоматическое получение параметров сети по DHCP

![](https://imgur.com/MHm73iA.jpg)

---
2.17 Настроим Kali Linux на автоматическое получение параметров сети по DHCP

![](https://imgur.com/8195Zhm.jpg)

---
2.18 Видим информацию об аренде на dc1 в меню "address leases"

![](https://imgur.com/akMIWVy.jpg)

---

### Часть 3. Отказоустойчивый DHCP
Настроим резервирование по технологии Hot Standby

3.1 Нажмём ПКМ на scope и выберем "configure failover"

![](https://imgur.com/HTDNzhG.jpg)

---
3.2 Выберем ip пулы для резервирования. Он у нас один и будет выбран по умолчанию, так что идем дальше

![](https://imgur.com/OK3vxwl.jpg)

---
3.3 Выберем сервер-партнёр. Нажмём "add server"

![](https://imgur.com/T5lGXQA.jpg)

---
3.4 В меню добавления сервера выберем в качестве резервного dc2

![](https://imgur.com/Y9aXBKT.jpg)

---
3.5 После добавления идём дальше

![](https://imgur.com/S5Pls5O.jpg)

---
3.6 Настроим failover. Выберем режим Hot Standby и снимем галочку с пункта аутентификации. Хоть это и не безопасно, но в рамках нашей работы не принципиально

![](https://imgur.com/gIz1A7c.jpg)

---
3.7 Подтвердим настройки

![](https://imgur.com/asqFRMu.jpg)

---
3.8 Увидим вывод успешного создания кластера и закроем меню

![](https://imgur.com/Uc8RgGE.jpg)

---
3.9 Проверим, что всё работает хорошо. Перейдём в dc2 в оснастку dhcp и просмотрим свойства области, которая там появилась

![](https://imgur.com/EcSbWP9.jpg)

---
3.10 Перейдём в меню "отработка отказа". Настройки применились корректно

![](https://imgur.com/D16zqyV.jpg)

---

## Практическая работа №4.4 GPO
### Часть 4. Групповые политики
С помощью групповых политик решим следующие задачи:

- Включим возможность логирования сетевых файловых ресурсов
- Настроим набор политик для защиты от mimikatz
- Применим политики для генерации событий, необходимых SIEM

4.1 Зайдём в Group policy management

![](https://imgur.com/ZO8aI5n.jpg)

---
4.2 Развернём вложенные меню, увидим две базовые политики в папке "Group policy object" и ссылки на них в OU, куда они были применены

![](https://imgur.com/d1s0WBg.jpg)

---
4.3 Отредактируем политику контроллеров домена

![](https://imgur.com/Xxss36x.jpg)

---
4.4 Настроим политику компьютера Object Access

![](https://imgur.com/6DxmKyj.jpg)

Путь до политики выглядит следующим образом: Computer Configuration/Policies/Windows Settings/Security Settings/Advanced Audit Policy Configuration/Audit Policies/Object Access

---
4.5 Включим аудит сетевых папок

![](https://imgur.com/q3OLzPy.jpg)

---
4.6 Включим аудит файловой системы

![](https://imgur.com/y71iZN0.jpg)

Данная политика применима к dc1 и dc2. В дальнейшем мы создадим на них файловый сетевой ресурс и сможем увидеть, например, события удаления файлов

---
**Политики защиты от mimikatz**
**Запрет Debug**
4.7 Создадим новую политику в папке GPO

![](https://imgur.com/cWJhr5G.jpg)

---
4.8 Назовём её mimikatz_block_debug

![](https://imgur.com/VRMeHuW.jpg)

---
4.9 Перейдём в настройки политики

![](https://imgur.com/dKEzIlJ.jpg)

---
4.10 Найдём политику debug

![](https://imgur.com/pV19yl4.jpg)

Путь до политики выглядит следующим образом: Computer Configuration/Policies/Windows Settings/Security Settings/User Rights Assignment

---
4.11 Настроим политику так, чтобы только у администратора и ADMpetr были права отладки

![](https://imgur.com/TcbXoBu.jpg)

---
4.12 Применим политику к домену, чтобы она сработала на всех ПК домена

![](https://imgur.com/7JwBDy6.jpg)

![](https://imgur.com/h4yF06c.jpg)

---
4.13 Для проверки скачаем mimikatz на pc1. Предварительно выключим защитник Windows

Сначала проверим, запустив консоль от имени администратоа ADMPetr

![](https://imgur.com/XNiakrA.jpg)

---
4.14 Теперь от имени администратора ADMIgor

![](https://imgur.com/H8OWkv9.jpg)

---
**Защита LSA от подключения сторонних модулей**
В Windows 8.1 и Windows Server 2012 R2 появилась возможность включить защиту LSA, которая защищает память LSA и предотвращает подключение к ней незащищенных процессов.
Чтобы включить эту защиту, вам необходимо создать параметр RunAsPPL со значением 1 в разделе реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA.

4.15 Добавим в политику mimikatz_block_debug новый параметр реестра

![](https://imgur.com/VT4ZPEJ.jpg)

---
4.16 Настроим параметр, активирущий защиту LSA

![](https://imgur.com/yK0neth.jpg)

ветка реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
имя параметра: RunAsPPL
Значение  выставляем в 1, изменяем decimal значение

Теперь подключаемые модули без подписи, а также модули, не имеющие подписи Майкрософт, не будут загружаться в LSA

---
**Настройки политик для SIEM**
Для полноценного логирования домена необходимо провести настройки политик. Без этих логов SIEM не сможет обнаружить множество атак на домен.

**Включение аудита командной строки и powershell**

4.17 Создадим политику аудита audit_services_cmd_posh

![](https://imgur.com/siDGMso.jpg)

---
4.18 Перейдём в ветку "Административные шаблоны"/"Система"/"Аудит создания процессов"

![](https://imgur.com/Vsnlmx0.jpg)

---
4.19 Активируем параметр "Включить командную строку в события создания процессов"

![](https://imgur.com/QGvVqKD.jpg)

---
4.20 Перейдём в ветку "Административные шаблоны"/"Компоненты Windows"/"Windows PowerShell"

![](https://imgur.com/gejtRpq.jpg)

---
4.21 Выберем пункт "Включить ведение журнала и модулей" и включим параметр для содержимого

![](https://imgur.com/O1s8beM.jpg)

---
4.22 Применяем политику на домен

![](https://imgur.com/g1X1DGb.jpg)

---
**Активация журналирования контроллеров домена**
Настроим журналирование LDAP запросов и неудачные попытки выгрузки членов доменных групп через протокол SAMRPC

4.23 Отредактируем политику контроллеров домена

![](https://imgur.com/rtqXd7k.jpg)

---
4.24 Создаём новый объект правки реестра

![](https://imgur.com/De5BHcm.jpg)

---
4.25 Изменим параметр реестра. Этот параметр уже существует, мы же его изменяем

![](https://imgur.com/yhJ1x5f.jpg)

ветка реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics
имя параметра: 15 Field Engineering

---
4.26 Изменяем значение на 5, изменяем decimal значение

![](https://imgur.com/glota25.jpg)

---
4.27 Создаем 2 новых параметра реестра

![](https://imgur.com/5mRoYK7.jpg)

![](https://imgur.com/3hHInUw.jpg)

Имена параметров Expensive Search Results Threshold и Inefficient Search Results Threshold, Decimal-значение REG_DWORD 1
Ветка реестра: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters

После выполнения этих действий в журнале Directory Service будут создаваться события с идентификатором 1644 для каждого LDAP запроса

---
4.28 Настроим параметр для контроллеров домена, разрешающий только определенным пользователям выгружать членов доменных групп

![](https://imgur.com/l87EKYt.jpg)

Параметр расположен по пути "Computer Configuration\Policies\Windows Settings\Security Settings\Local Policies\Security Options"

---
4.29 Дадим доступ на выгрузку для группы пользователей Administrators и пользователю ADMPetr

![](https://imgur.com/w2Ubj5g.jpg)

---
4.30 Настроим журналирование попыток выгрузки, добавим ещё один параметр в реестр

![](https://imgur.com/V9rfpoO.jpg)

Ветка реестра: SYSTEM\CurrentControlSet\Control\Lsa
Имя параметра RestrictRemoteSamAuditOnlyMode, Decimal-значение REG_DWORD 1

---